Naxsi

Seit 2011 gibt es das Naxsi-Modul [10] , das Nginx zu einer Web Application Firewall (WAF) macht. Das Projekt befindet sich noch in der Entwicklung, wird aber bereits produktiv eingesetzt und bietet jetzt schon vielversprechende Funktionen, um Webserver vor Skriptkiddies, Scannern und sonstigen automatisierten Tools, die rund um die Uhr auf der Suche nach dankbaren Opfern sind, zu schützen. Mit Nginx als Grundlage lässt sich Naxsi als hochperformante Standalone-WAF betreiben. Für Debian steht Nginx inklusive Naxsi in den Backports als Installationspaket bereit, doch auch das Selbstkompilieren auf dem Nginx-Weg ist problemlos.

Naxsi bringt ein eigenes Core Ruleset mit und ist mit anwenderspezifischen Regelsätzen erweiterbar. Die Konfiguration findet innerhalb des Nginx-Kontexts statt. Durch Scores für einzelne Regeln und anpassbare Grenzwerte für Block-Aktionen lässt sich die WAF an unterschiedliche Umgebungen und Webapplikationen anpassen.

Naxsi kann verschiedene Werte wie URLs, Request-Parameter, Cookies, Header oder den POST-Body einzeln oder in Kombination überprüfen und lässt sich auf Location-Ebene in der Nginx-Konfiguration an- oder abschalten. Die automatische Whitelist-Erstellung hilft dabei, die Firewall vor beliebigen Applikationen einzusetzen und dabei False-Positives zu 100 Prozent auszuschließen. Weitere Tools wie NX-Utils und Doxi erleichtern Administration, Reporterstellung und Ruleset-Updates.

NX-Utils

Naxsi ist als Modul in Nginx implementiert und als solches auch standalone arbeitsfähig, bringt aber die NX-Utils mit, die für die Whitelist-Generierung und Reports sehr sinnvoll sind. Zum einen gibt es den Intercept-Modus, der es Naxsi erlaubt, die von der WAF geblockten Requests für spätere Reports und Whitelists in einer Datenbank zu speichern, und den Report-Modus, der die gespeicherten Events grafisch darstellt. Die NX-Utils befinden sich gerade im Umbau und werden in einer späteren Version bessere Reportaufbereitung und Filter bereitstellen, um die WAF-Events genauer analysieren zu können.